Java-Pakete manuell scannen

In dieser Kurzanleitung erfahren Sie, wie Sie ein Container-Image abrufen, es manuell mit On-Demand-Scannen prüfen und erkannte Sicherheitslücken für System- und Maven-Pakete abrufen. In dieser Kurzanleitung verwenden Sie Cloud Shell und ein Beispiel-Alpine-Image.

Hinweise

  1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Go to project selector

  3. Make sure that billing is enabled for your Google Cloud project.

  4. Enable the On-Demand Scanning API.

    Enable the API

    5.

  5. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Go to project selector

  6. Make sure that billing is enabled for your Google Cloud project.

  7. Enable the On-Demand Scanning API.

    Enable the API

    8.

Bild herunterladen und scannen

  1. Öffnen Sie eine Cloud Shell in Ihrem Projekt.

    Cloud Shell öffnen

    Dadurch wird ein Terminal mit allen erforderlichen Tools geöffnet, um diese Anleitung auszuführen.

  2. Verwenden Sie Docker, um das Container-Image abzurufen:

    docker pull jenkins:2.60.3-alpine

  3. So führen Sie den Scan aus:

    gcloud artifacts docker images scan jenkins:2.60.3-alpine --additional-package-types=MAVEN

    Dadurch wird der Scanvorgang ausgelöst und der Scanname wird am Ende zurückgegeben:

    ✓ Scanning container image 
  ✓ Locally extracting packages and versions from local container image
  ✓ Remotely initiating analysis of packages and versions
  ✓ Waiting for analysis operation to complete [projects/my-project/locations/us/operations/1a6fd941-b997-4e5f-ba4f-6351f30e7dad]
Done.

done: true
metadata:
  '@type': type.googleapis.com/google.cloud.ondemandscanning.v1.AnalyzePackagesMetadata
  createTime: '2021-01-26T13:43:53.112123Z'
  resourceUri: jenkins:2.60.3-alpine
name: projects/my-project/locations/us/operations/1a6fd941-b99f-4eaf-ba4f-6e5af30e7dad
response:
  '@type': type.googleapis.com/google.cloud.ondemandscanning.v1.AnalyzePackagesResponse
  scan: projects/my-project/locations/us/scans/893c91ce-7fe6-4f1a-a69a-d6ca1b465160

  4. Verwenden Sie den Scannamen, den Wert von scan aus der Ausgabe, um die Scanergebnisse abzurufen:

    gcloud artifacts docker images list-vulnerabilities \
projects/my-project/locations/us/scans/893c91ce-7fe6-4f1a-a69a-d6ca1b465160

    Die Ausgabe enthält eine Liste von Maven- und Linux-Paketlücken. Maven-Paketlücken können am Feld packageType:MAVEN erkannt werden.

Bereinigen

Mit den folgenden Schritten vermeiden Sie, dass Ihrem Google Cloud-Konto die in dieser Anleitung verwendeten Ressourcen in Rechnung gestellt werden:

Wenn Sie ein neues Projekt für diesen Leitfaden erstellt haben, können Sie es jetzt löschen.

  • Öffnen Sie in der Google Cloud Console die Seite „Einstellungen“ (unter „IAM & Verwaltung“).

    Zur Seite "Einstellungen"

  • Klicken Sie auf Projekt auswählen.

  • Wählen Sie ein Projekt aus, das Sie löschen möchten, und klicken Sie auf Öffnen.

  • Klicken Sie auf Beenden.

  • Geben Sie die Projekt-ID ein und klicken Sie anschließend auf Beenden.

Nächste Schritte